回复： 关于debian环境设置deb 安装控制的问题

Hi， yhsponder

其实需要的是三个方面：

1.让dpkg无法删除特定的包（例如一些提供关键系统服务的包），只能进行升级

2.让一些关键文件得到保护，dpkg在安装一些包时，阻止其有意或无意地对关键文件修改或删除

3.在dpkg安装某个包时，如果它会针对系统库进行重定向，则阻止这种行为

apt-mark应该无法满足这些要求，对于se-linux，我不是很懂它，请问一下您说的分权角色方案具体是怎样实现的？

[email protected]

在2022年5月27日 09:45，孑影<[email protected]> 写道：

Hi， starcold14

首先很抱歉没有看懂您的需求具体是什么。

如果您需要在debian下面禁止个别包的被改变和被修改可以采用apt mark

这个方案可以屏蔽掉安装过程中的大部分意外的修改，当然这个方法不是十分可靠的。原因是安装过程中存在root权限，恶意定制的软件包是存在bypass的可能。

如果您需要进一步做，稍微简单一点的做法是限制root权限的使用，然后给这些需要保护的包加 apt mark 文件加系统属性。

如果您想做更加安全一点，那就需要selinux的分权角色方案了。

因此关键点是看您的需求是什么。

#风起看云涌，叶落品人生#

starcold14 <[email protected] > 于2022年5月27日周五 01:13写道：

Dear all，

我需要帮助：

在debian环境下，我们通常使用dpkg工具安装deb包。在类centos环境下，使用rpm格式的包进行软件的安装。

而rpm提供了三个全局管理的文件/etc/rpm/files、/etc/rpm/pkgs、/etc/rpm/libraries来禁止rpm包对相应文件的修改，相应包的移除，相应系统库的重定向。

具体来说，为了保护系统遭受恶意软件修改某个文件a，可以在/etc/rpm/files配置来避免安装rpm包时对文件a进行修改。

但是在debian环境中，似乎没有类似的配置。我查到在debian/control设置Protected: yes 或Essential: yes 可以禁止某个包的移除，其功能导致的最终效果与centos环境下的
/etc/rpm/pkgs类似。那么除此之外，在debian系统中是否有类似/etc/rpm/files、/etc/rpm/pkgs、/etc/rpm/libraries的功能，可以在全局提供保护？

具体点说明，就是Debian中安装deb包时如何使它满足

1. 关键软件包不允许卸载

2. 关键文件不允许修改

3. 关键库不允许重定向

please help me.

[email protected]